Cuanto más familiar nos resulta algo, más probable es que dejemos de cuestionarlo. En ciberseguridad, esa complacencia puede ser especialmente peligrosa. Es el caso de los códigos QR, que se han vuelto habituales en menús, postes de alumbrado y parquímetros, y cada vez más también en correos electrónicos durante los últimos años. El desafío es que además representan una excelente forma de ocultar enlaces maliciosos, evadir algunos filtros de seguridad corporativos tradicionales y hacer que la interacción pase de una computadora corporativa a un teléfono personal con menos controles de seguridad.
Los atacantes seguirán experimentando e innovando con nuevas formas de evitar la detección y con nuevas técnicas de quishing para engañar a empleados desprevenidos. Esto es lo que necesita saber para mantener segura a su organización.
¿Por qué el quishing es tan peligroso?
Abreviatura de Quick Response (respuesta rápida), un código QR es un código de barras bidimensional capaz de codificar URL, datos de pago, información de contacto y otros datos, permitiendo a los usuarios acceder rápidamente a un sitio web, una aplicación u otro recurso digital. Resultan atractivos para los actores de amenazas por varias razones. Su uso generalizado, acelerado por la demanda de interacciones sin contacto durante la pandemia, ha convertido su escaneo en una parte habitual de la vida cotidiana. Eso significa que hoy es más probable que saquemos nuestros teléfonos para escanear un código QR que hace unos años.
Además, se integran fácilmente en las campañas de phishing: basta con reemplazar ese enlace o archivo adjunto malicioso por un código QR. Y pueden generarse en segundos. De hecho, muchos kits de phishing incluyen un generador de códigos QR dedicado. Lo más importante es que llevan a la víctima de un entorno corporativo relativamente bien protegido a un dispositivo móvil potencialmente no gestionado, eludiendo así los controles de seguridad corporativos.
Una de las principales ventajas para el atacante es la capacidad de ocultar el destino del enlace. El destino está codificado en un patrón visual y no se muestra como texto legible, lo que esconde las URL maliciosas y evita que algunos filtros tradicionales de correo electrónico puedan extraerlas e inspeccionarlas. En ocasiones se ocultan aún más al incrustarlas en archivos adjuntos PDF o JPEG. Esto aumenta las probabilidades de que lleguen a las bandejas de entrada de sus empleados. Y cuando lo hacen, el personal puede tener dificultades para distinguir un mensaje legítimo de uno malicioso. Normalmente hay poco texto para analizar en busca de errores ortográficos o gramaticales. Y como el enlace está codificado en un patrón visual, resulta invisible para el ojo humano.
Cuando se utilizan junto con una marca de confianza, por ejemplo, un correo electrónico de DocuSign o una actualización de Microsoft, los ataques de quishing aprovechan las mismas tácticas de ingeniería social que los mensajes de phishing clásicos. El uso de una marca de confianza hace que la víctima perciba el mensaje como legítimo. Además, suele crearse una sensación de urgencia mediante algún pretexto. Los códigos QR maliciosos suelen aparecer en alertas que instan a los usuarios a proteger su cuenta o autenticarse para confirmar sus datos.
De hecho, según el ESET Threat Report H1 2026, los códigos QR maliciosos estaban presentes en nada menos que el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026. “ESET rastrea los correos electrónicos de quishing bajo el nombre de detección QRCode/Phishing. Esta detección funciona a través de una capa dedicada del escáner de correo electrónico de ESET, diseñada para identificar códigos QR en la gran mayoría de los tipos de archivo y decodificar las URL que contienen. Las URL extraídas son analizadas mediante los motores antiphishing, antimalware y antispam de ESET; cualquier URL dañina es bloqueada y los correos electrónicos asociados son marcados o eliminados”, señala el informe.
Los actores de amenazas siguen innovando
Como ocurre con cualquier tendencia dentro del panorama de amenazas, los actores maliciosos continúan perfeccionando sus tácticas para maximizar el impacto. Los ataques de quishing se utilizan no solo para instalar malware y robar credenciales, sino también para robar tokens de autenticación multifactor (MFA). Los investigadores de seguridad también los han observado en ataques diseñados para:
- Eludir los controles de seguridad de las tiendas de aplicaciones mediante descargas directas, donde el malware se presenta como una aplicación legítima.
- Llevar al usuario no a un sitio malicioso o de phishing, sino directamente a una aplicación legítima de redes sociales, pagos u otros servicios. Esto puede utilizarse en distintos escenarios, como:
- Toma de control de cuentas, donde se induce a la víctima a autenticar al atacante dentro de su propia cuenta.
- Fraude financiero, donde la víctima es dirigida a una aplicación de pagos con los datos del beneficiario ya completados.
- Envenenamiento de contactos o calendarios, donde enlaces maliciosos a reuniones o nuevos datos de contacto se insertan en aplicaciones utilitarias y redirigen a sitios de phishing cuando se hace clic sobre ellos.
- Conectar automáticamente a la víctima a una red Wi-Fi maliciosa controlada por un atacante mediante un punto de acceso fraudulento.
- Evadir herramientas de seguridad utilizando acortadores para códigos QR, que convierten direcciones web largas y maliciosas en enlaces más pequeños para luego incrustarlos en códigos QR.
Incluso los grupos APT patrocinados por Estados están utilizando el quishing como parte de su arsenal. Un aviso del FBI publicado en enero de 2026 advirtió que el grupo norcoreano Kimsuky había atacado centros de investigación, instituciones académicas y organismos gubernamentales de Estados Unidos y otros países mediante correos de spearphishing que contenían códigos QR incrustados. Los pretextos utilizados eran diversos. Los correos afirmaban, según el caso, que escanear el código llevaría a los usuarios a cuestionarios, páginas de registro o unidades de almacenamiento seguras.
Cómo proteger a su empresa contra el phishing con códigos QR
Afortunadamente, una combinación equilibrada de capacitación, procesos y tecnología puede ayudar a reducir significativamente el riesgo de quishing para su organización.
Comience por las personas. Incluya el quishing en los programas de concientización sobre seguridad y en los ejercicios de simulación. Promueva que los empleados eviten escanear códigos QR presentes en correos electrónicos no solicitados y que reporten cualquier mensaje sospechoso. Si creen que el mensaje proviene de una fuente confiable, deben verificarlo directamente con el remitente utilizando datos de contacto obtenidos por una vía distinta al correo recibido.
A continuación, considere los controles técnicos, incluida una solución de seguridad de correo electrónico de un proveedor confiable para minimizar el riesgo de que los mensajes de quishing lleguen a las bandejas de entrada. Incorpore también una solución de seguridad móvil en los dispositivos de los empleados para bloquear el acceso a sitios maliciosos y otras amenazas. Asimismo, exija autenticación multifactor resistente al phishing (phishing-resistant MFA) para todas las cuentas sensibles, de modo que, incluso si los usuarios son engañados, los adversarios no puedan obtener acceso a los sistemas corporativos. Las herramientas de administración de dispositivos móviles (MDM) pueden ayudar a garantizar que todos los dispositivos estén protegidos de acuerdo con las políticas de la empresa.
Reduzca la superficie de ataque, aplique el principio de mínimo privilegio y el acceso just in time. Mantenga actualizados todos los sistemas operativos móviles y el software corporativo, incluidas las herramientas de seguridad. Además, realice una supervisión continua para detectar actividades sospechosas y ponga a prueba los planes de respuesta a incidentes para estar preparado ante el peor escenario.
Una novedad que ya no lo es
Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia. Así como los empleados se han acostumbrado a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para identificar las señales de advertencia de un posible intento de quishing. Cuando se combina con capacitación y concientización, la familiaridad también puede contribuir a fortalecer la seguridad.
